法律事務所の運営

目次

第１　結論第２　ディープフェイク送金詐欺の手口１　メールだけで終わらない複合型の詐欺２　令和６年に香港で公表された約２億香港ドルの被害３　この事例から読み取れること第３　法律事務所で重要となる場面１　送金及び振込先口座の変更２　秘密情報及び認証情報の開示第４　顔・声に依存しない本人確認１　既知の連絡先へ折り返す２　起案者と承認者を分ける３　会議をいったん切って組み直す第５　教育及び訓練１　見破る訓練より止める訓練を行う２　秘密を理由に承認を外さない第６　顔・声のデータと委託先管理第７　被害が疑われる場合の初動と証拠保全１　送金を止め，銀行へ連絡する２　削除せず時系列を残す３　情報漏えい等の有無を別に判定する第８　平時の確認チェックリスト第９　出典の位置付け及び調査範囲１　一次資料及び公的資料２　二次資料３　裁判例及び判例秘書
第１　結論

ディープフェイクによって実在する経営者，依頼者，取引先又は同僚の顔や声が再現される以上，ビデオ会議で顔が見えたこと又は電話で聞き慣れた声を聞いたことだけを，本人確認の完了と扱うべきではない。
法律事務所では，送金，振込先口座の変更，預り金の払戻し，秘密情報の送信その他の重要な指示について，①既に登録した連絡先への折り返し，②元の連絡経路とは別の経路による確認，③起案者と承認者の分離，④例外を認める者と記録方法の事前指定を組み合わせる必要がある。

異常に急ぐ指示，「極秘」を理由に通常の承認を外す指示及び初めての口座への送金は，内容がもっともらしくても停止条件とする。
職員教育の中心は，映像の不自然さを見抜く技術ではなく，疑わしいと感じた者が送金又は開示を止め，既知の連絡先で確認し，所内へ報告できる手順に置くべきである。

日弁連規程・規則に基づく依頼者本人確認と，受任後に届く個別の送金又は払戻し指示が本人の意思に基づくかを確かめる手続は，目的と実施時点が異なる。
令和９年４月１日からのICチップ読取り等は受任時等の本人特定事項の確認を強化するが，後日の電子メール又はビデオ会議による送金指示まで当然に真正とするものではない。
既知の連絡先への折り返し，別経路確認及び複数名承認は重要な業務統制であるが，規程上必要な依頼者本人確認の代替にもならない。
制度上の本人確認については，弁護士が依頼者の本人確認を行う場合を参照されたい。

本記事は，令和８年１０月１３日時点で確認できた公表資料に基づき，法律事務所の予防，初動及び証拠保全を整理するものである。
特定の送金被害について，金融機関，保険会社又は関係者の法的責任を判断するものではない。

第２　ディープフェイク送金詐欺の手口
１　メールだけで終わらない複合型の詐欺

攻撃者は，経営者又は取引先を装うメール若しくはメッセージを入口として，被害者を電話又はビデオ会議へ誘導し，顔，声，表示名及び会議参加者をそろえて指示の真正らしさを高めることがある。
もっとも，表示された顔や声が本人に似ていることと，指示が本人の意思に基づくことは別の問題である。

公開されたウェブ動画，講演，SNSの画像及び録音は，偽の音声又は映像を作る素材になり得る。
したがって，著名な代表者だけでなく，ウェブサイトに顔写真や動画を掲載する弁護士，採用担当者，経理担当者及び依頼者の担当者も，本人詐称の対象になり得ることを前提にする必要がある。

２　令和６年に香港で公表された約２億香港ドルの被害

香港政府が令和６年６月２６日に公表した立法会答弁によれば，香港警察は，同年１月末，英国本社の最高財務責任者を装うメッセージを受けた従業員がグループビデオ会議に参加し，５つの香港口座へ合計約２億香港ドルを送金した事件を把握している。
警察の当時の見立てでは，会議映像は公開された映像や音声を基に作られた事前録画であり，被害者と画面上の人物との実際の対話はなく，会議後の送金指示はインスタントメッセージで続けられた。

Biz Clipの記事は，この被害企業を英国のエンジニアリング会社Arupとし，１５回の送金及び当時の為替で約４０億円という細部を紹介している。
しかし，今回確認した香港政府の公表資料は，企業名，送金回数及び日本円換算額を記載していないため，本記事ではこれらを二次情報として区別する。

３　この事例から読み取れること

この事件から直接確認できるのは，複数人が参加するように見えるビデオ会議及び上司らしい音声又は映像が，送金指示の真正を保証しないということである。
また，攻撃者がリアルタイムの自然な対話を完全に再現できなくても，事前録画，表示名及び会議後のメッセージを組み合わせて被害を生じさせ得る。

したがって，「ディープフェイクを目で見抜く」ことだけを対策にしてはならない。
本人しか知らない情報をその場で答えさせる方法も，過去のメール，SNS又は漏えい情報から答えを推測される可能性があるため，登録済み連絡先への折り返し及び複数名承認に代わるものではない。

第３　法律事務所で重要となる場面
１　送金及び振込先口座の変更

（続きを読む...）法律事務所のディープフェイク送金詐欺対策―顔・声に頼らない本人確認と証拠保全（AI作成）

目次

第１　共通する基盤が止まっても続けるべき業務１　事業者の復旧と事務所の業務再開を分ける２　障害の原因を決め付けず機能を確認する第２　平時に共通依存先を洗い出す１　サービスの数より，同時に失う機能を調べる２　契約と運用の担当を決める第３　障害中にも使える最小限の記録を準備する１　期限，連絡，必要な資料及び預り金の記録２　秘密を増やし過ぎず，権限者が取り出せるようにする第４　障害当日は期限と連絡を先に整理する１　事実と判断を分けて記録する２　依頼者には影響と連絡手段を伝える第５　電子提出と預り金取引は成否を確認して切り替える１　mintsの公式案内と手続段階を確認する２　預り金を維持し，送金の再実行前に取引を照合する第６　復旧目標を決め，実際に取り出す訓練をする１　復旧にかけられる時間と，補完すべき欠落を分ける２　模擬資料で始め，権限と読み戻しも試す第７　復旧後は空白期間を照合してから通常運用へ戻す第８　出典・関連資料
第１　共通する基盤が止まっても続けるべき業務

クラウドに事件台帳，資料，メール及びバックアップを置いていると，端末が無事でも，クラウド又は共通する認証が止まるだけで必要な情報を参照できなくなる。
銀行や決済サービスが使えなければ，預り金の送金や手数料の納付にも影響する。
法律事務所のBCP（業務継続計画）では，まず期限を確認し，依頼者と連絡し，預り金の記録を守るための最小限の業務を定める。
その上で，障害中の代替手段，担当者及び復旧後の照合を決めておく。
本記事は，小規模な法律事務所が平時に作れる計画と訓練を扱う。
個別の会規や裁判所資料を示した部分を除き，具体的な準備と優先順位は運用上の提案である。
基準日は令和８年１０月１３日である。

１　事業者の復旧と事務所の業務再開を分ける

事業者の「復旧しました」という通知があっても，未受信の連絡，提出の成否，入出金及び資料の版が照合できたとは限らない。
システムが使えることと，個々の事件を安全に進められることを分けて確認する。
中小企業庁のBCP策定運用指針も，中核となる業務，目標復旧時間，事前対策，教育・訓練及び更新を一連の計画としている。
法律事務所では，これを事件の期限と依頼者への影響に置き換えて考える。

２　障害の原因を決め付けず機能を確認する

クラウド障害，事務所の回線障害，アカウントの異常，端末感染及び決済障害は，最初の対応が異なる。
公式の障害情報と，手元で確認できた症状を別々に記録する。
単なる事業者障害と考えて感染端末を使い続けたり，逆に感染の証拠を確認せず端末を一律に初期化したりしない。
侵害の疑いがある場合の隔離と証拠保全は，法律事務所のサイバー事故初動チェックリストで扱う。

回線事業者の側で広い範囲の障害が起きているかは，事務所の外の公開データでも確かめられる。
ジョージア工科大学のIODA（Internet Outage Detection and Analysis）は，応答するIPv4アドレスのブロック（/24）を１０分間隔で調べ，国・地域・ネットワークごとの状況を公開している。
Cloudflare Radarも，国やネットワークごとの通信量の推移を公開し，無料のAPIを提供している。
もっとも，観測する側の欠測で，関係のない複数の地域の値が同じ時刻にそろって落ちることもあるため，一つの急落だけで障害を断定せず，継続時間と複数の観測源を確かめる。
事後には，総務省が，電気通信事業法に基づいて報告を求めている一定規模以上の電気通信事故について，電気通信事故検証会議による検証の結果を公表している。

第２　平時に共通依存先を洗い出す
１　サービスの数より，同時に失う機能を調べる

別々のサービスでも，同じ認証，通信回線，端末，又は一つの管理者アカウントに依存していることがある。
バックアップも，同じ管理画面からしか取り出せないのであれば，その画面の停止に対する代替にならない。
次の表を事務所の実際の契約と権限に合わせて埋める。
代替サービスの契約数を増やすだけでなく，共通基盤が使えない条件で代替経路を試す。

（続きを読む...）法律事務所のクラウド・決済障害に備えるBCP―期限，依頼者連絡，預り金及び復旧訓練（AI作成）

目次

第１　VPNの導入後に確認する三つの問題１　通信経路と保存先の権限を分ける２　製品の名称より実際の運用を確認する第２　デジタル庁の公表事案から分かること第３　更新対象を台帳で把握する１　機器，版及びサポート終了を記録する２　危険度の点数だけで順番を決めない３　依頼と適用完了を区別する第４　接続後のアクセスを必要な範囲へ絞る１　VPNへの接続と資料の利用を別々に認める２　認証，端末及び失効を併せて点検する第５　保守契約と実際の担当を確認する第６　侵害が疑われたときは更新だけで終了しない第７　事務所の取扱方法へ組み込む第８　出典・確認範囲
第１　VPNの導入後に確認する三つの問題

法律事務所でVPNを使う場合，通信経路の保護，VPN機器自体の更新及び接続後に利用できる情報の範囲を分けて確認する必要がある。VPNを導入したことだけで，事件資料への不正アクセスが防げるわけではない。
本記事は，小規模な法律事務所が保守事業者と相談するための確認事項を整理する。基準日は令和８年１０月１３日である。具体的な台帳，契約項目及び確認の順序は運用上の提案であり，全事務所に同一の機器・製品構成を義務付けるものではない。

１　通信経路と保存先の権限を分ける

VPNは離れた端末や拠点を仮想的な専用ネットワークで接続する技術であり，インターネットを経由する構成では通信の暗号化等が使われる。VPNの方式，接続先及び保護される区間は，実際の構成で確かめる。
通信が保護されても，接続する端末の感染，認証情報の悪用又は保存先の過大な権限は別の問題である。自宅から事務所へ接続するためのVPNと，一般消費者向けのVPNサービスも，接続先と目的が異なる。

２　製品の名称より実際の運用を確認する

導入費だけで比較せず，誰が更新情報を確認し，誰が作業を承認し，誰が適用結果とアクセス権限を確認するかを決める。管理を外部へ委託していても，事務所側の連絡先と判断者が不明なままにしない。
回線と機器の基本的な役割は，インターネット接続の仕組み，保存先の区別は，法律事務所のサーバー・NAS・クラウド・DNSを参照されたい。

第２　デジタル庁の公表事案から分かること

デジタル庁のQ&A（令和８年９月１２日更新）によれば，保守運用担当者のアカウントによる大量のファイルへのアクセスを６月２５日に検知し，７月９日にVPN機器の脆弱性を利用した侵入が判明した。同庁は，修正プログラムの適用前に既知の脆弱性が悪用されたと説明している。
同庁が公表した約２４．６万件は，漏えいした可能性がある個人情報の件数である。全件の外部流出が確定した人数として扱ってはならない。具体的な脆弱性や機器については公表が差し控えられており，この説明だけで特定製品や保守事業者の過失を認定することもできない。
本事案から法律事務所の運用へ応用するなら，更新を予定した段階と適用が済んだ段階を区別し，管理・保守用アカウントから何へアクセスできるかを確認することである。

第３　更新対象を台帳で把握する
１　機器，版及びサポート終了を記録する

IPAのVPNルータ等に関する注意喚起は，IT資産として管理されていない機器の再確認とファームウェアの更新等を勧め，サポート終了製品の使用停止又は後継製品への移行にも言及している。これは対象製品についての注意喚起であり，他の全製品に同じ脆弱性があるとの意味ではない。
事務所では，VPN機器，ルータ及びNASごとに，型番，設置場所，用途，現在のファームウェア版，管理事業者，更新担当，公式情報の確認先，サポート終了日及び次の点検日を記録する。パスワードそのものは一般の機器台帳に書かず，別の安全な方法で管理する。

台帳はVPN機器，ルータ及びNASだけで完結させず，防犯カメラ，録画機及び複合機も含めて確認する。
外部から接続できる管理機能については，公開の必要性，接続経路，認証，保守担当者の権限及び最終確認日を残す。
NOTICEのIoT機器対策も参考に，初期・共通パスワード，更新の未実施及びサポート終了の見落としを点検する。

２　危険度の点数だけで順番を決めない

対応の優先度は，深刻度の評価だけでなく，インターネットから到達できるか，実際の悪用が確認されているか，事件資料や管理機能へ到達できるか，代替経路があるかを保守事業者と検討して決める。
更新を待つ場合は，暫定対策，判断者，理由，期限及び見直す条件を記録する。更新による停止が心配な場合も，停止の影響と未対応の危険を比較し，安全な代替手段を用意する。

３　依頼と適用完了を区別する

更新記録には，対象機器，根拠となる公式通知，適用前後の版，作業日時，担当者，動作確認，残る問題及び承認者を残す。「業者へ依頼済み」だけでは完了としない。
更新のために保護機能を恒久的に無効化したり，侵害の疑いがある機器を調査前に初期化したりしない。侵害が疑われる場合は，第６の初動へ切り替える。

第４　接続後のアクセスを必要な範囲へ絞る
１　VPNへの接続と資料の利用を別々に認める

NIST SP 800-207は，ネットワークの内側にいることだけで暗黙に信頼せず，利用者，端末及び対象資源を確認してアクセスを認める考え方を示す（本文４～８頁）。日本の法律事務所に直接適用される法令ではないが，設計の参考になる。

（続きを読む...）法律事務所のVPNは安全か―機器の更新，内部のアクセス制御及び保守契約の確認事項（AI作成）

目次第１　結論第２　訓練の法的・実務的位置付け第３　実施前に決めること第４　訓練メールの題材第５　測定する指標第６　開封・クリック後の報告と初動第７　責めない運用と事後教育第８　第三者への影響と訓練業者の管理第９　実施チェックリストと関連記事第１０　出典と調査範囲
第１　結論

法律事務所の標的型メール訓練は，職員をだまして失敗者を見付けるためではなく，不審メールに気付いた人が速やかに所内へ報告し，事務所が調査・封じ込め・期限確認を開始できるかを確かめるために行う。開封率又はクリック率だけで評価せず，報告率，最初の報告までの時間，所内の初動完了までの時間及び再教育後の改善も測定する。

訓練でURL又は添付ファイルを開いた人を責めると，現実の事故でも報告が遅れやすくなる。報告を受けた担当者は，まず報告に謝意を示し，時刻，行った操作及び端末を確認する。訓練業者を利用する場合は，職員のメールアドレス，開封・クリック・報告の記録その他の個人データについて，利用目的，アクセス権，保存期間，削除，再委託及び事故時の連絡を事前に定める。

本記事は令和8年9月30日時点の法令，会規及び公表資料に基づく。訓練結果は教育と体制改善の資料であり，それだけで個々の職員の能力又は事務所の安全性を断定するものではない。

第２　訓練の法的・実務的位置付け

日本弁護士連合会の弁護士情報セキュリティ規程4条2項は，弁護士等に対し，事務職員等が安全管理措置を遵守するよう指導監督することを求め，同条3項は，弁護士等が自ら又は事務職員等の情報セキュリティに関する知識を涵養するため，研鑽及び教育に努めることを定めている。訓練は，この教育と，規程6条の取扱方法の点検・改善を具体化する一つの方法である。

個人情報保護法23条から25条は，個人データの安全管理措置，従業者の監督及び委託先の監督を定める。個人情報保護委員会の通則編ガイドラインは，従業者への教育・研修をリスクに応じて充実させることが望ましいとし，個人データの取扱いを委託するときは，適切な委託先の選定，委託契約及び取扱状況の把握を示している。

もっとも，特定の回数又は特定方式の訓練を一律に義務付ける規定ではない。事務所の規模，取扱情報，過去の事故，利用するメール・クラウド環境及び担当者の体制に応じて，机上演習，短時間の教育，模擬メール及び事故対応演習を組み合わせる。

第３　実施前に決めること

実施前に，少なくとも次を文書化する。
①目的―不審メールの判別だけでなく，報告と組織初動を確認すること
②対象―弁護士，事務職員，司法修習生，派遣・委託スタッフ等のどこまでを含めるか
③期間―送信日時，測定終了時刻，事後教育の日程
④報告経路―不審メールを転送せずに報告できる専用ボタン，電話又は別の安全な連絡手段
⑤初動担当―最初の報告を受け，訓練か現実の事故かを切り分ける担当者と代替者
⑥記録―取得するデータ，閲覧者，保存期間，削除時期及び個人評価への利用の有無
⑦中止条件―第三者から問合せが来た場合，実在事件又は現実の障害と混同した場合等

訓練であることを事前に全員へ知らせない場合でも，責任者，事故対応担当者及び必要なシステム管理者には，誤って現実の事故として外部通報したり，業務メールを一律遮断したりしないための範囲で知らせる。実施中に本物の不審メールが到着する可能性を前提に，訓練用ドメイン，送信元及び識別情報を担当者だけが確認できるようにする。

第４　訓練メールの題材

題材は，事務所で実際に起こり得るが，実在の依頼者，裁判所，弁護士会，金融機関その他の第三者に迷惑をかけないものを選ぶ。例えば，①共有ファイルの閲覧依頼，②メールボックス容量又は多要素認証に関する案内，③請求書・日程表・事件資料を装う添付ファイル，④過去のやり取りへの返信を装うメールが考えられる。

レンタルサーバー，ウェブサイト保守会社又はプラグイン作者を装い，「今夜から攻撃が始まる」，「直ちにPHPを切り替える」又は「管理画面へログインする」よう求める緊急通知も題材になり得る。
この場合の到達目標は，緊急性だけで真偽を判断せず，メール内のリンクを使わずに登録済みの管理画面又は提供者の公式サイトを開き，公表日時，対象版，修正版及び事務所の完全な版番号を確認し，所内の保守担当へ報告できることである。

訓練では，実在事業者の商標，ドメイン又は緊急連絡を無断で模倣せず，現実の脆弱性通知と混同した場合の中止条件を定める。
公式情報がまだ詳細を公表していない段階では，影響版又は攻撃開始時刻を推測で補わないことも確認する。

経営者，依頼者又は取引先を装うメールから電話若しくはビデオ会議へ誘導し，顔又は声で送金，振込先変更，認証情報入力若しくは秘密情報の送信を指示する複合型も訓練題材になり得る。
訓練の目的は映像の不自然さを見破ることではなく，重要な指示を保留し，依頼メール又は会議内で示された番号を使わず，あらかじめ登録した連絡先へ折り返し，別の承認者へ回せるかを確認することである。

パスワード付きZIPを題材にする場合，「ZIPを解凍しただけで常に感染する」と教えない。暗号化されたZIPはメール側のマルウェア検査を妨げることがあり，別メールのパスワードも送信者の真正又は内部ファイルの安全性を保証しない。受信予定があるかを確認し，既知の電話番号等の別経路で送信者に確認し，拡張子を表示して，実行ファイル，スクリプト及びOfficeマクロ等を不用意に実行しないという判断過程を訓練する。

実在又は酷似した組織名，ロゴ，ドメイン若しくは電話番号を無断で使うと，訓練対象者がその第三者へ連絡し，問合せ又は風評の負担を生じさせることがある。IPAの訓練資料は，実在又は類似の組織・ドメインを避け，訓練対象者の問合せ先を組織内の担当窓口にするよう注意を示している。

第５　測定する指標
指標確認すること注意点開封率・クリック率模擬メールの開封，URLクリック又は添付ファイルの操作メールソフトの画像取得，セキュリティ製品の自動アクセス及び重複操作を除外できるか確認する報告率不審と判断して所定の窓口へ報告できた割合開かなかった人の報告と，開いた後の報告を区別して把握する最初の報告までの時間送信又は受信から，所内窓口が最初の報告を受けるまでの時間早期検知の実効性を見る。個人を責める順位表にしない組織の初動完了時間担当者が訓練を識別し，影響確認，周知その他の予定した手順を終えるまでの時間職員だけでなく，受付・連絡・判断手順の詰まりを測る再教育後の改善同じ弱点に関する短時間教育後の再確認結果題材の難易度，対象人数及び測定条件の違いを記録する

情報処理推進機構（IPA）の資料は，訓練目的に応じて開封率又は適切な対応の達成率を測り，標的型攻撃メールの報告までの時間や，報告を受けた後の組織の対応完了までを確認する考え方を示している。令和8年公表の実践ナビも，開封率と報告率を測り，報告が遅い又は少ない場合には手順の不明確さを分析することを勧めている。

数値を比較するときは，対象人数，除外者，送信時間，訓練題材，分母，重複報告の扱い及び自動アクセスの除外方法を残す。クリック率が低いという一つの数値だけから，現実の攻撃への備えが十分であるとはいえない。

第６　開封・クリック後の報告と初動

訓練対象者には，「開いてしまったら黙る」のではなく，次の順序を教える。
①それ以上のURLクリック，添付ファイル操作，マクロ有効化又は認証情報入力を止める
②受信時刻，開封時刻，クリック・解凍・内部ファイル実行・マクロ有効化の有無及び端末を所内窓口へ報告する
③原メール，完全なメールヘッダー，添付ファイル及び画面表示を勝手に削除せず，担当者の指示を待つ
④内部ファイル，実行ファイル，スクリプト又はマクロを実行した場合は，担当者の指示に従い，必要に応じて端末をネットワークから隔離する
⑤不審メールをそのまま多数へ転送して被害又は混乱を広げない

現実の事故では，原メール，完全なヘッダー，添付ファイル，添付ファイルのハッシュ値，メールゲートウェイ及び端末のログを保存する。単なるメールの表示，URLアクセス，ZIPの解凍，内部ファイルの実行及びマクロ有効化は技術的に同じ出来事ではないため，確認済み事実と推測を分けて記録する。開封又はクリックだけで感染確定と断定せず，反対に内部ファイルを実行した事実を「メールを見ただけ」と過小評価しない。

第７　責めない運用と事後教育

報告を受けた担当者の最初の言葉は，「なぜ開いたのか」という非難ではなく，「報告してくれてありがとう。今から確認します」とする。IPAの実践ナビは，開いてしまった場合でも必ず報告することを教え，報告を責めず，早期報告を評価する文化を作ることを勧めている。

（続きを読む...）法律事務所の標的型メール訓練―開封率より報告率・初動時間を測る実施方法（AI作成）

目次第１　結論第２　PPAPを既定手段にしない理由１　受信したパスワード付きZIPへの対応第３　送付方法の比較第４　クラウド共有リンクの確認事項第５　送信前に文書内部も点検する第６　刑事事件記録を共有するとき第７　事務所の基本的な取扱方法に書く事項第８　出典と調査範囲
第１　結論

法律事務所では，パスワード付きZIPファイルを電子メールで送り，別の電子メールでパスワードを送る方法（PPAP）を既定手段にしない。ファイル共有は，情報の性質，送信先，閲覧・編集の必要性及び保存期間に応じて，宛先の認証，最小限の権限，有効期限，失効，ログ及び削除を管理できる方法を選ぶ。
クラウド共有へ移れば自動的に安全になるわけではない。共有相手，リンク設定，提供者側の管理者アクセス，再委託先，事故通知，バックアップ及び契約終了時の削除・持出しまで確認する。

刑事事件記録では，保存と第三者への共有を分け，利用目的，共有相手，裁判所が付した条件及び刑事訴訟法281条の4・281条の5を個別に確認する。本記事は令和8年9月28日時点の法令，会規及び公表資料に基づく。

第２　PPAPを既定手段にしない理由

PPAPでは，ファイルとパスワードが同じ電子メール系統を通るため，メールアカウント又は経路をまとめて侵害された場合の防御になりにくい。誤った相手へ2通とも送れば誤送信を防げず，送信後にファイルだけを失効させることも難しい。暗号化された添付ファイルは，受信側のメールシステムによるマルウェア検査を妨げることがある。

国家サイバー統括室の「インターネットの安全・安心ハンドブック」は，PPAPを盗聴・誤送信対策として効果が乏しく，マルウェア検査を困難にする方法として，基本的に利用しないとの方向を示している。
電話又はSMSでパスワードを伝える方法は，パスワードを同じ電子メール経路に載せないという限度では意味があるが，誤送信，失効，ログ，マルウェア検査及び受信後の二次共有を一括して解決するものではない。

１　受信したパスワード付きZIPへの対応

受信側でも，別メールでパスワードが届いたことだけで送信者の真正又は内部ファイルの安全性が確認できたとはいえない。まず，その資料を受信する予定があったかを確認し，必要に応じて既知の電話番号等の独立した経路で送信者に確認する。拡張子を表示し，実行ファイル，スクリプト及びOfficeマクロ等を不用意に実行しない。

ZIPの解凍，内部ファイルを開くこと，実行ファイル又はスクリプトを実行すること，Officeマクロを有効にすることは同じ操作ではない。「解凍しただけで常に感染する」と一般化せず，実際に行った操作と時刻を記録する。内部ファイル，実行ファイル，スクリプト又はマクロを実行した場合は，それ以上の操作を止め，所内窓口へ報告し，必要に応じて端末をネットワークから隔離する。

現実の事故では，原メール，完全なメールヘッダー，添付ファイル，添付ファイルのハッシュ値，メールゲートウェイ及び端末のログを保存する。詳しくは，電子メールの仕組みと安全対策，法律事務所のサイバー事故初動チェックリスト及び法律事務所の標的型メール訓練を参照されたい。

第３　送付方法の比較
方法確認すべき点適さない場面通常のメール添付宛先，添付物，容量，メール経路，受信後の保存秘密性が高く，失効・ログ・期限管理が必要な資料PPAP別経路の実効性，マルウェア検査，誤送信，失効不能事務所の既定手段クラウド共有リンク指定相手，認証，権限，期限，失効，ログ，ダウンロードリンクを知る全員が閲覧できる設定のまま使う場合専用ポータル・データルーム利用者管理，監査ログ，通知，契約，終了時のデータ管理者，退出者及び保存期間を管理できない場合物理媒体暗号化，受渡し，紛失，複製，返却・廃棄追跡可能な受渡し方法を定めない場合

同じ事件でも，連絡文だけなら通常メール，証拠一式は期限付きの共有リンク，原本は対面受渡しというように分けることがある。方法の名称ではなく，情報の性質と実際の設定を確認する。

第４　クラウド共有リンクの確認事項

共有前に，次を確認する。
①共有先をメールアドレス等で指定し，「リンクを知っている全員」を避けられるか
②本人確認又は多要素認証を求められるか
③閲覧のみ，ダウンロード可，編集可を分けられるか
④有効期限を設定し，事件終了又は誤送信時に失効できるか
⑤閲覧，ダウンロード，編集及び共有変更のログを確認できるか
⑥受信者による再共有又はローカル保存をどこまで制御・把握できるか
⑦契約主体，保存・処理国，再委託先及び提供者側の管理者アクセスはどうなっているか
⑧侵害時の通知，バックアップ，契約終了時の削除及び一括エクスポートは可能か

共有設定の画面で「安全」と表示されることだけでは足りない。実際の相手方アカウントで閲覧できること，第三者アカウントでは閲覧できないこと，期限又は失効後に開けないことを必要に応じて試す。

第５　送信前に文書内部も点検する

送信先と共有設定が正しくても，文書内部に不要な情報が残っていれば漏えいにつながる。
①PDFは，黒い図形を重ねただけの墨消しになっていないか，文字列の検索・コピー及びレイヤー表示で確認する。
②Wordは，変更履歴，コメント，文書のプロパティ，非表示文字及び埋込みファイルを確認する。
③Excelは，非表示シート・行・列，コメント，数式，外部リンク及び印刷範囲外のデータを確認する。
④画像は，位置情報，撮影日時，端末名その他のメタデータを確認する。
⑤ファイル名，フォルダー名及び共有リンク名に，他の依頼者名又は事件名が含まれていないかを確認する。

最終版を別名で書き出し，送信する実物を開いて点検する。元文書の画面だけを見て，送信物も同じだと推測しない。

第６　刑事事件記録を共有するとき

刑事訴訟法281条の4は，被告人又は弁護人が検察官から開示を受けた証拠書類・証拠物の写し等について，当該被告事件又は関連する一定の手続に使用する目的以外で使用することを禁止し，同法281条の5は違反に対する罰則を定めている。
また，犯罪被害者等の権利利益の保護を図るための刑事手続に付随する措置に関する法律3条に基づき，裁判所が謄写物の使用目的又は条件を定めることがある。

したがって，クラウドへの保存それ自体と，共同受任者，依頼者，鑑定人，通訳人その他の第三者が閲覧可能な状態にすることを分けて検討する。共有前に，①資料の入手経路，②利用目的，③共有相手の立場，④事件との関係，⑤裁判所の条件，⑥ダウンロード・再共有の可否及び⑦共有終了後の削除を確認する。特定のクラウド製品を使うだけで適法性が決まるものではない。

第７　事務所の基本的な取扱方法に書く事項

日本弁護士連合会の弁護士情報セキュリティ規程3条に基づく基本的な取扱方法には，少なくとも，①通常使う送付方法，②PPAPを原則として使わないこと，③例外承認者，④クラウド共有の権限・期限・失効・ログ，⑤刑事記録等の特別な承認，⑥送信前の文書点検，⑦誤送信・誤共有時の連絡先及び初動，⑧委託先と職員への周知を具体化することが考えられる。

規程全体は弁護士情報セキュリティ規程とはを，クラウド・NAS・バックアップはサーバー・NAS・クラウドストレージ・DNSの違いを参照されたい。

第８　出典と調査範囲

①国家サイバー統括室「インターネットの安全・安心ハンドブック」Ver5.10
②日本弁護士連合会「弁護士情報セキュリティ規程」3条～7条
③刑事訴訟法281条の4・281条の5
④犯罪被害者等の権利利益の保護を図るための刑事手続に付随する措置に関する法律3条
⑤東京弁護士会「LIBRA 2026年9月号」2頁～13頁
⑥情報処理推進機構「サイバー情報共有イニシアティブ（J-CSIP）運用状況［2020年10月～12月］」

刑事記録のクラウド共有が個別事案で許されるかは，記録の種類，利用目的，共有相手，裁判所の条件及び実際のアクセス設定を確認するまで確定できない。本記事は特定サービスの安全性又は個別共有の適法性を一律に判定するものではない。

目次第１　結論第２　発覚後10分に行うこと１　連絡経路と責任者を決める２　被害拡大を止める３　時刻入り記録と証拠保全を始める第３　当日中に行うこと１　影響範囲を把握する２　期限事故を防ぐ３　報告・通知の要否を判断する４　外部支援と保険の条件を確認する第４　復旧後・後日に行うこと第５　事故類型別の最初の操作第６　確認用チェックリスト第７　法的根拠と裁判例第８　出典と調査範囲
第１　結論

法律事務所のサイバー事故では，最初に「誰が悪かったか」を調べるのではなく，①被害拡大の防止，②時刻入り記録と証拠保全，③情報・対象者・期間・業務期限の影響範囲の把握，④法令・会規・契約・保険による報告及び通知の判断，⑤復旧と再発防止の順で進める。
漏えいの有無だけでなく，事件記録の滅失・毀損，業務の停止，メールの未受信及び裁判上の期限への影響を同時に確認する必要がある。システムが動くようになったことと，事故対応が終わったことは同じではない。

本記事は，令和８年１０月８日時点の法令，会規，裁判例及び公表資料に基づく一般的な確認手順である。個別事故の報告義務，通知先及び期限は，情報の種類，漏えい等の態様，対象者数，委託関係及び契約条件によって変わる。

PCが固まったという事実だけで、直ちにサイバー事故と断定することはできない。メモリ不足、ディスク待ち、表示系の停止、更新処理又はクラウド同期でも同じような症状が生じる。身に覚えのないログイン、ファイル改変、セキュリティ警告、不審な通信又は権限変更がない場合は、まず最後のコマンド、プロセス別の性能ログ及びイベントログを照合し、通常の性能障害かどうかを切り分ける。

反対に、その照合過程で不審なログイン、改変、マルウェア検知又は未知の外部通信が見つかった場合は、本記事のサイバー事故初動へ移り、端末隔離と証拠保全の優先順位を判断する。

通常の性能障害を調べる手順は，Windows 11がフリーズした原因を後から調べる方法―最後のコマンド，パフォーマンスモニター及びイベントビューアー（AI作成）を参照されたい。

第２　発覚後10分に行うこと
１　連絡経路と責任者を決める

事務所内の責任者に連絡し，事故対応の記録を一つに集約する。感染した可能性のあるメールやチャットを連絡経路として使わず，安全な電話，別端末又はあらかじめ定めた連絡網を用いる。
記録には，発見日時，発見者，最初に確認した画面・端末・アカウント，実施した操作，判断者及び結果を時刻順に残す。

２　被害拡大を止める

ランサムウェア又はマルウェアが疑われる端末は，ネットワークケーブル又は無線接続を切り，他の端末，NAS及びクラウド同期先への拡大を止める。誤送信又は誤共有では，送信取消し，共有リンクの失効，権限削除及び相手方への削除依頼が可能かを確認する。アカウント乗っ取りでは，別の安全な端末からセッション失効，認証情報の変更及び多要素認証の再設定を検討する。
ただし，証拠保全及び専門家の方針を確認する前に端末を初期化し，又はログを削除しない。

個人情報保護委員会のフォレンジック調査資料は，専門家の方針を確認する前に，電源を切る，再起動する，ウイルススキャンを実行する，初期化する，又はソフトウェアを更新することにより，メモリやログ等の証拠が変更・消失する危険を指摘している。
ネットワークからの隔離と端末の電源断は同じ操作ではない。拡大防止のための隔離を急ぎつつ，端末の電源と内容を変更する操作は証拠への影響を確認してから行う。

ルーター，ネットワークカメラ，録画機，複合機，会議用端末又はスマート家電等のIoT機器が疑われる場合も，機器を他のネットワークから隔離する。
冷凍，防犯，医療又は防災等の設備では，通信又は電源の遮断自体が危険を生じさせることがあるため，設備管理者及び保守事業者と安全な隔離方法を確認する。

３　時刻入り記録と証拠保全を始める

画面表示，警告文，送信先，ファイル名，URL，メールヘッダー，ログの保存場所及び時刻を記録する。事実，推測，判断及び実施結果を分けて書く。
端末の時刻が正しいか，サービスのログがUTCか日本時間か，ログの保存期限がいつまでかも確認する。外部業者へ依頼する場合は，作業開始前に保全対象と受渡し方法を合意する。

IoT機器については，型番，シリアル番号，ファームウェア版，サポート期限，遠隔管理，クラウド連携，管理者設定，ルーターのDHCP・通信記録及び直前の変更を記録する。
初期化又は更新でログが失われる場合があるため，封じ込めの緊急性と証拠保全を分けて判断する。
詳しい仕組みと平時の対策は，レジデンシャルプロキシとは―家庭用IoT機器が犯罪の踏み台になる仕組みと対策を参照されたい。

調査結果は，①ログや保全イメージで確認できた事実，②設定や機能上は可能だったこと，③ログ欠落等により不明なことに分ける。
保全イメージと取得ログは，取得日時，取得者，取得元，保管場所及びハッシュ値を記録し，原本相当のデータと作業用複製を分ける。

アスクルの第１３報（令和７年１２月１２日，４頁）は，多要素認証を例外的に適用していなかった業務委託先用の管理者アカウントで不正アクセスがあったと説明している。
また，委託先管理のノートPCのOS更新過程で侵入時点のログが失われ，認証情報の漏えい方法と原因を完全には究明できないとしている。
VPN機器の脆弱性を悪用した侵入の痕跡は確認されなかったという説明もあり，認証情報の取得方法を，フィッシング又はマルウェアと決め付けない。

この事例を踏まえ，復旧のためのOS更新，再インストール又は端末返却を行う前に，侵入時点のログが上書き・消去されないかを確認し，可能な範囲で保全する。
封じ込めの緊急性と証拠保全の必要性を踏まえ，先行させた措置，失われた記録及びその理由を残す。

事故受付票では，発生した期間，事務所が検知した日時，法定の報告対象事態を知った日時，委託先からの通知日時及び公表日時を別々に記録する。
報告対象事態を知った日時には，誰がどの資料・連絡により何を把握したかを対応付け，後日判明した事項は元の記録を消さず追記する。

（続きを読む...）法律事務所のサイバー事故初動チェックリスト―発覚後10分・当日中・後日に行うこと（AI作成）

目次第１　弁護士の本人確認はすべての相談で一律ではない１　犯罪収益移転防止法１２条と日弁連会規が根拠になる２　すべての法律相談が対象になるわけではない３　本人確認とマネー・ローンダリング対策を分けない第２　本人特定事項等の確認が必要になる主な業務１　２００万円以上の資産管理行為等２　特定の取引等の準備又は実行３　疑わしい態様は対象を広げる第３　確認する事項１　自然人の依頼者２　法人又は団体の依頼者３　実質的支配者第４　令和９年３月３１日までの確認方法１　対面での自然人確認２　非対面・オンラインでの自然人確認３　法人確認と依頼権限第５　確認記録と取引記録１　確認記録を作る２　取引記録も別に作る３　保存期間は終了後５年間である第６　疑わしい取引への対応１　弁護士に金融機関と同じ届出義務をそのまま課す制度ではない２　依頼前と受任後で対応を分ける第７　令和９年４月１日からの本人確認方法１　日弁連規程・規則が改正された２　対面はICチップ情報の読取りが中心となる３　非対面は電子的確認へ移行する第８　法律事務所の確認表１　受任・業務開始時２　記録・保存時３　年次点検第９　出典・確認範囲１　法令及び日弁連公開規程２　令和９年見直しの公開資料３　一次資料で確認できる範囲と限界
第１　弁護士の本人確認はすべての相談で一律ではない
１　犯罪収益移転防止法１２条と日弁連会規が根拠になる

犯罪による収益の移転防止に関する法律１２条は，弁護士等の本人特定事項の確認，確認記録・取引記録の作成保存等に相当する措置について，特定事業者の例に準じて日本弁護士連合会の会則で定めるとする。
現在の具体的な義務は，日弁連の「依頼者の本人特定事項等の確認及び記録保存等に関する規程」及び同規則によって確認する必要がある。
金融機関等に適用される犯罪収益移転防止法の本人確認方法を，そのまま弁護士の全業務へ当てはめるものではない。

２　すべての法律相談が対象になるわけではない

本人特定事項等の確認が必要になるのは，規程が定める資産管理行為等又は特定の取引等の準備・実行を行う場面である。
単に初回相談を受けたという理由だけで，同規程上の詳細な確認義務が常に発生するわけではない。
ただし，利益相反確認，連絡先確認，委任契約，弁護士職務基本規程その他の理由から，対象業務以外でも依頼者情報を確認することはある。

３　本人確認とマネー・ローンダリング対策を分けない

本人確認書類を取得するだけでは十分でない。
依頼の目的，職業又は事業内容，実質的支配者，資金・資産の流れ及び不自然な点を確認し，必要に応じて依頼を受けないこと又は辞任することまで含む仕組みである。

第２　本人特定事項等の確認が必要になる主な業務
１　２００万円以上の資産管理行為等

法律事務に関連して，依頼者の金融機関口座を管理する場合又は依頼者から若しくは依頼者のために合計２００万円以上の金員，有価証券その他の資産を預かり，若しくは管理する場合が対象になる。
送金を伴う預り金も含まれる。
もっとも，裁判所等への予納・供託，裁判手続等による弁済金・和解金の受領，刑事事件の被害弁償金の預託，報酬・費用の前受けその他規程が列挙する場合には適用除外があるので，条文に即して確認する。

２　特定の取引等の準備又は実行

主な対象は，次のとおりである。
①不動産の売買。
②会社設立又は経営を目的とする出資その他の資金拠出。
③会社の組織変更，合併，会社分割，株式交換，株式移転又は目的変更。
④会社の業務執行者又は代表者の選任。
⑤会社以外の法人，組合，匿名組合，投資事業有限責任組合その他の団体の設立又は合併。
⑥団体の目的変更又は業務執行者・代表者の選任。
⑦信託の設定，併合，分割，目的変更又は受託者変更。
⑧会社の買収又は売却。

３　疑わしい態様は対象を広げる

取引資産が犯罪収益である疑いがある場合，依頼者が犯罪収益の隠匿等を行っている疑いがある場合又は同種の取引と著しく異なる態様で行われる場合も，規程上の確認対象になる。

（続きを読む...）弁護士が依頼者の本人確認を行う場合―対象業務・令和９年４月１日の確認方法・記録保存（AI作成）

目次第１　本記事の対象と結論の要旨１　本記事が扱う場面２　結論の要旨第２　知財高裁平成３１年３月１８日判決１　事案２　原審の判断３　控訴審の判断第３　現在の特許手続では基準が変わっている１　特許法48条の3第5項の改正２　適用の時期第４　民事訴訟の期限との関係１　訴訟行為の追完（民事訴訟法97条）２　オンライン申立ての義務の例外（民事訴訟法132条の11第3項）３　システム送達の効力発生第５　ランサムウェア被害を受けた事務所の期限管理１　最初に確かめること２　平時に決めておくこと３　情報が漏えいした場合第６　出典・参考資料１　法令２　裁判例３　規程
第１　本記事の対象と結論の要旨
１　本記事が扱う場面

本記事は，法律事務所や特許事務所がランサムウェアに感染し，又はメールサーバーが止まって，依頼者や相手方からの連絡を受け取れなかった場合に，手続の期間を守れなかったことが救済されるかを，裁判例と条文に沿って説明するものである。
中心となる裁判例は，代理人の事務所がランサムウェアに感染してメールを受信できず，特許の出願審査請求の期間を徒過した事案について，救済を否定した知的財産高等裁判所平成３１年３月１８日判決である。
本記事の記載は，令和8年9月28日時点の法令，裁判例及び公表資料に基づく。

２　結論の要旨

①知財高裁平成３１年３月１８日判決は，仮にランサムウェア感染によってメールを受信できなかったとしても，事務所は受信できなかった可能性のある期間について依頼者側に確認すべきであったとして，特許法（当時）の「正当な理由」を否定した。
②特許の出願審査請求については，令和3年の特許法改正により，令和5年4月1日以後に取り下げたものとみなされた出願から，救済の基準が「故意」でないかどうかに改められているため，同判決の結論をそのまま現在の特許手続に当てはめることはできない。
③民事訴訟では，不変期間を守れなかった場合の訴訟行為の追完（民事訴訟法97条）や，オンライン申立ての義務の例外（同法132条の11第3項）は，「その責めに帰することができない事由」があることを要件としており，事務所側のシステム被害が当然にこれに当たるとはいえないと考えられる。
最高裁は，訴訟代理人やその事務所の者の事情で不変期間を守れなかった場合について，追完を認めていない。
④事務所がランサムウェア被害やメール障害を受けたときは，受信できなかった可能性のある期間を特定し，その間に連絡があり得た相手に確認することが，期限を守るための最初の作業になる。

第２　知財高裁平成３１年３月１８日判決
１　事案
(1)　出願審査請求の期間の徒過

イタリアに住所を有する大学（在外者）の特許出願について，日本の特許管理人として選任された弁理士の所属する国内の特許事務所（判決は「本件国内事務所」と呼ぶ。）が手続を担当し，現地の代理人事務所（「本件現地事務所」）が出願人との連絡を担当していた。
本件現地事務所は，平成28年4月1日，本件国内事務所に対し，出願審査の請求をするよう指示する電子メールを送信した。
しかし，本件国内事務所は，出願審査請求期間（平成28年5月2日まで）内に請求をせず，特許出願は取り下げたものとみなされた（特許法48条の3第4項）。

(2)　ランサムウェア感染の主張

出願人は，本件国内事務所の所内のサーバー及びメールサーバーが平成28年3月28日から同年4月4日までの間，ランサムウェアへの感染により使用できない状況になっており，指示のメールを受信できなかったと主張し，期間内に請求をすることができなかったことについて特許法48条の3第5項の「正当な理由」があるとして，出願審査の請求をした。
特許庁長官がこの請求を却下したため，出願人が却下処分の取消しを求めた。

２　原審の判断

原審の東京地方裁判所平成３０年８月３０日判決は，「正当な理由」があるときとは，特段の事情のない限り，出願人として相当な注意を尽くしていたにもかかわらず出願審査請求期間の徒過に至ったときをいうとした。
その上で，本件国内事務所の関連会社のサーバーでランサムウェアの感染が問題になったことは認められるとしても，主張された期間に本件国内事務所の所内のサーバー等が使用できない状況になっていたと認めるに足りる的確な証拠はないとした。
さらに，仮に主張どおりの状況があったとしても，サーバーが使用できるようになった時点から期間の終期まで1か月弱あった以上，本件国内事務所は指示のメールが送られていないかを本件現地事務所に確認すべきであり，その時間的な猶予は十分にあったとして，請求を棄却した。

３　控訴審の判断
(1)　電子メールの特性

知財高裁は，原審の判断を維持して控訴を棄却した。
判決は，「電子メールは，相手方への到達が保証されておらず，かつ，送信者が他の手段によることなく相手方への到達を確認することが困難な連絡手段であることは周知の事実である。」と述べている。
その上で，出願審査請求の指示のメールを送った後に到達を確認する手順を踏まない運用は，電子メールの特性を考慮した期間徒過防止の措置を何ら講じていないものであり，本件国内事務所も本件現地事務所も相当な注意を尽くしていたとは認められないとした。

（続きを読む...）法律事務所がランサムウェアに感染したときの期限管理―メール不達による期間徒過と知財高裁平成３１年３月１８日判決（AI作成）

目次第１　本記事の対象第２　制定と施行１　制定と施行の日２　規程の名宛人３　規程に違反した場合第３　「情報セキュリティ」と「取扱情報」の定義（2条）１　機密性・完全性・可用性２　取扱情報(1)　紙の記録も含まれる(2)　除かれる情報第４　基本的な取扱方法の策定（3条）１　危険の把握と策定の義務(1)　危険を把握する努力義務（3条1項）(2)　基本的な取扱方法を定める義務（3条2項）２　配慮すべき4つの事項（3条3項）３　策定の実務(1)　日本弁護士連合会のサンプル(2)　書き込んでおくとよい事項４　AIエージェントを使う場合の記載事項５　OS組込みAIとBYODの記載事項６　生成AIの許可サービス台帳と入力情報区分７　トレース及び評価データセットの別管理第５　安全管理措置と事務職員等（4条）１　4つの安全管理措置(1)　規程4条1項の定め(2)　個人情報保護法の安全管理措置との重なり２　事務職員や司法修習生３　研鑽と教育(1)　訓練の評価指標(2)　報告しやすい運用と第三者・委託先への配慮(3)　顔・声による本人詐称への訓練第６　情報のライフサイクル管理と点検・改善（5条・6条）１　作成から廃棄まで（5条）２　点検と改善（6条）第７　漏えい等事故が起きたとき（7条）１　規程7条の定め２　個人情報保護法による報告と本人通知(1)　個人情報保護委員会への報告と本人への通知(2)　依頼者から取扱いの委託を受けた個人データ３　依頼者への報告４　mintsへの誤提出５　生成AI事故の記録票６　事故初動の順序第８　秘密保持義務との関係１　弁護士法23条と弁護士職務基本規程23条２　機密性以外の要素第９　出典・参考資料１　規程・会規２　法令３　日本弁護士連合会・弁護士会の機関紙誌４　生成AIの行政ガイドライン５　サイバーセキュリティ資料
第１　本記事の対象

本記事は，日本弁護士連合会の弁護士情報セキュリティ規程（令和4年6月10日会規第117号）について，全7条の内容，各弁護士に策定が求められる「基本的な取扱方法」及び情報の漏えい等の事故が起きた場合の対応を，条文に沿って説明するものである。
あわせて，弁護士法23条の秘密保持義務，弁護士職務基本規程及び個人情報の保護に関する法律（以下「個人情報保護法」という。）との関係を整理する。
本記事の記載は，令和8年9月28日時点で確認できた規程の原文，法令及び公表資料に基づく。

規程の条文は，日本弁護士連合会のウェブサイトで公開されている。
他方，日弁連新聞第601号によれば，日本弁護士連合会は「解説　弁護士情報セキュリティ規程」及び「情報セキュリティを確保するための基本的な取扱方法について」（いずれも2023年3月）等を作成し，会員専用サイトで基本的な取扱方法の例を提供している。
本記事は，これらの会員向け資料の内容には依拠していない。

第２　制定と施行
１　制定と施行の日

規程は，令和4年6月10日の日本弁護士連合会の定期総会で可決された。
日弁連新聞第580号は，討論では規程による義務化への疑問や時期尚早との反対意見が出された一方で，情報セキュリティの確保に組織を挙げて取り組むべきであるとの賛成意見が出され，採決の結果，賛成多数で可決されたと報じている。

規程の附則は，「この規程は、成立の日から起算して二年を超えない範囲内において理事会で定める日から施行する。」と定めている。
令和6年1月19日の理事会決議により，規程は令和6年6月1日から施行された。

２　規程の名宛人

規程1条は，目的について「この規程は、弁護士、弁護士法人、外国法事務弁護士、外国法事務弁護士法人及び弁護士・外国法事務弁護士共同法人（以下「弁護士等」という。）がその職務上取り扱う情報の情報セキュリティを確保するために必要な事項を定めることを目的とする。」と定めている。
義務を負うのは法律事務所ではなく，個々の弁護士等である。
法律事務所の規模は，後述の3条2項において，定める内容を左右する考慮要素として現れる。

３　規程に違反した場合

規程自体には，違反した場合の効果を定める条文はない。
日弁連新聞第601号は，基本的な取扱方法を施行日までに策定することが義務とされており，策定していなければ会規違反になると説明している。

弁護士法56条1項は，弁護士が日本弁護士連合会の会則に違反したことを懲戒事由の一つとしている。
そして，日本弁護士連合会会則29条1項は，「弁護士は、所属弁護士会及び本会の会則、会規及び規則を守らなければならない。」と定めている。
したがって，会規である規程に違反することは，会則29条1項の違反として，弁護士法56条1項の懲戒事由に当たり得ると考えられる。
もっとも，懲戒をするのは所属弁護士会であり（同条2項），実際に懲戒の対象となるかは違反の内容や程度によって判断されることになる。
規程違反を理由とする懲戒の公表例は，本記事では確認していない。

第３　「情報セキュリティ」と「取扱情報」の定義（2条）
１　機密性・完全性・可用性

規程2条1項は，「この規程において「情報セキュリティ」とは、次に掲げる特性が維持された状態をいう。」とし，次の3つを挙げている。
①機密性：「情報に関して、アクセスを認められた者だけがアクセスできる特性をいう。」

（続きを読む...）弁護士情報セキュリティ規程とは―全７条の内容，基本的な取扱方法及び漏えい等事故の対応（AI作成）

目次

第１　この記事の対象と結論第２　案件数だけでは配分の実態が分からない第３　最小限の案件配分台帳第４　米国のプロセス監査第５　英国・カナダ・オーストラリアの取組第６　法律事務所での監査手順第７　法的評価及び情報管理上の留意点第８　出典
第１　この記事の対象と結論

この記事は，法律事務所における案件配分を，担当件数だけでなく，報酬額，役割，案件難度，顧客接点及び評価への反映に分けて点検する方法を整理するものである。
調査基準日は令和８年９月６日であり，日本弁護士連合会の第24回弁護士業務改革シンポジウム第8分科会資料並びに米国，英国，カナダ及びオーストラリアの公表資料を参照した。

結論として，案件配分の公平性又は育成効果は，担当件数だけでは判断できない。
高難度案件の主担当，重要顧客との直接接点，法廷又は交渉での中心的役割，報酬の大きい案件及び評価者との共同作業へ参加できるかが，経験，顧客基盤，評価，昇進及び将来の収入へ順次影響し得るからである。

したがって，法律事務所では，個別事件の機密を不必要に集約せず，配分過程に必要な最小限の情報を一定期間記録し，集計し，是正後に再測定する仕組みを設けるのが有用である。
本記事は任意の業務改善方法を示すものであり，日本法上の一律の法的義務又は違法性の判断基準を提示するものではない。

第２　案件数だけでは配分の実態が分からない

同じ10件を担当していても，定型的な補助作業が中心の場合と，高難度案件の主担当として顧客説明，交渉及び最終成果物を担う場合とでは，得られる経験及び将来の顧客基盤が異なる。
件数だけを均等にしても，案件価値，役割及び接点が偏っていれば，育成機会は均等にならない。

案件配分には少なくとも三つの段階がある。
①案件を誰に割り当てるか，②割り当てられた案件で誰が主担当及び顧客窓口を担うか，③得られた成果を評価，昇進及び報酬へどう反映するかである。

配分の入口だけでなく，案件中の役割及び案件後の評価まで追跡する必要がある。
また，育児，介護，時短勤務又は休暇による一時的な稼働制約を，重要案件から恒常的に外す理由へ転化させないよう，復帰後の再配分も点検対象に含めるべきである。

第３　最小限の案件配分台帳

案件配分台帳には，次の項目を記録するのが有用である。
①配分日，②業務分野，③難度区分，④見込報酬額又は価値区分，⑤主担当・共同担当・補助の別，⑥顧客との直接接点の有無，⑦法廷・交渉・会議での役割，⑧配分決定者，⑨配分理由，⑩案件終了後の評価及び報酬への反映である。

判断経験も見る場合は，若手が担当した判断，AI・上司の回答を見る前の予測，監督者の介入条件，実際の結果，振り返り日を対応させる。
件数や同席回数だけで，判断から結果まで経験したと評価しない。
集計台帳には必要な項目と管理番号を残し，事件の秘密や詳細な判断経過は，閲覧権限を限定した事件・育成記録へ置いて紐付ける。

台帳の目的は，個々の担当者を順位付けすることではなく，案件配分の過程を検証できる状態にすることである。
自由記載を増やし過ぎると，事件情報及び主観的評価が不必要に蓄積するため，選択式の区分と短い理由欄を中心に設計するのが望ましい。

依頼者名，事件名，健康情報，家族情報その他の機微情報は，集計目的に不可欠でない限り台帳へ入れない。
個別案件を識別する必要がある場合も，限定された管理番号を用い，原事件記録へのアクセス権限と分析用台帳へのアクセス権限を分ける必要がある。

第４　米国のプロセス監査

米国労働統計局の2024年年次表によれば，フルタイムの賃金・給与労働者である弁護士の週当たり収入中央値は，女性が2,296ドル，男性が2,857ドルである。
この数値は自営業者を含まず，経験，勤務先，労働時間その他の要因を調整しない中央値であるため，性別による因果的効果を示すものではない。

NALPの2024年資料によれば，女性はアソシエイトの51.62％を占める一方，エクイティ・パートナーでは24.8％である。
これは各地位に占める構成比であり，特定年の昇進候補者に対する昇進率ではない。

Bias Interruptersは，格差の最終結果だけでなく，案件配分，顧客との接触，評価，昇進及び報酬という過程を測定し，具体的な中断策を導入した後に再測定する方法を提示している。
日本の法律事務所で参考にする場合も，海外の数値目標をそのまま移植するのではなく，自らの案件配分過程を可視化する考え方を取り入れるのが実務的である。

第５　英国・カナダ・オーストラリアの取組

英国のジェンダー賃金格差報告制度は，一定規模以上の雇用主に報告を求める法定制度である。
他方，Bar CouncilのFair Access to Work Guideは，バリスター業務における案件配分を公正にするための実務指針であり，両者は法的性質及び対象が異なる。

カナダ・オンタリオ州法律協会のJusticia Project及び事業開発ガイドは，女性法律家の定着，指導，リーダーシップ及び顧客開拓を支援する職能団体の取組である。
これらは，案件経験だけでなく，顧客関係の形成及び事業開発の機会がキャリアに影響することを示す実務資料である。

オーストラリア法律評議会のNational Model Gender Equitable Briefing Policyは，法令上の強制制度ではなく，賛同者が目標を掲げて報告する任意の制度である。
2024年から2025年の年次報告では，女性が受任したブリーフは32％，報酬は31％となり，両目標へ初めて到達したと報告されている。

もっとも，同報告では報告者数の低下も指摘されている。
目標達成の数値だけで制度全体の浸透又は因果的効果を判断せず，対象範囲及び報告率を併せて確認する必要がある。

第６　法律事務所での監査手順

第1段階では，3か月から6か月程度の基準期間を定め，案件配分台帳を作成する。
既存データが乏しい場合は，最初から精密な評価点を設けるのではなく，件数，価値区分，役割及び顧客接点から始めるのがよい。

第2段階では，担当者の属性又は勤務形態ごとに，件数，主担当率，高価値案件率，顧客接点率及び評価への反映を集計する。
人数が少ない区分では個人が推測されるため，区分の統合又は非公表化が必要である。

第3段階では，差が生じた配分場面を確認し，配分理由の明文化，共同担当の設定，顧客会議への同席，復帰後の優先配分又は配分担当者の複数化など，過程に対応した修正を行う。
結果だけを見て一律に件数を動かすのではなく，どの段階で機会が失われたかを特定する必要がある。

第4段階では，同じ指標を再測定し，案件の質，依頼者サービス及び担当者の負荷に副作用がないかも確認する。
改善策が新たな偏り又は過重負担を生じた場合は，配分基準を再調整する。

（続きを読む...）法律事務所の案件配分をどう測るか－件数・報酬額・主担当・顧客接点の監査（AI作成）

目次

第１　この記事の対象と結論第２　専門分野の名称だけでは決まらない理由１　2025年日弁連追加アンケートが示す関連第３　専門分野より重要な８つの確認事項１　外部期限の固定度と突発性２　夜間・休日対応の実質的必要性３　依頼者の応答期待４　本人拘束の強さ５　共同処理と代替可能性６　受任量の制御可能性７　繁忙期と収入構造８　長期的な適合性第４　業務分野を比較するときの見方第５　受任の三段階で行う業務設計１　受任前２　受任時３　受任後第６　勤務先又は共同事務所を選ぶときの確認事項１　制度，運用，評価及び収入を分ける２　弁護士会資料を質問票として使う第７　弁護士の職責との関係第８　実行用チェックリスト第９　出典・参考資料１　法令２　職能団体の規程及び正式な指針３　職能団体の委員会資料及び機関誌記事４　その他の公開資料
第１　この記事の対象と結論

この記事は，家族との時間を確保したい弁護士が，専門分野，勤務先又は受任方針を検討する際の確認事項を整理するものである。
調査基準日は令和８年９月６日であり，同日時点の弁護士法，平成２６年２月５日改正反映版として法務省に掲載された弁護士職務基本規程，平成３１年２月に公表された東京弁護士会のガイドライン及び令和８年９月２日付けの公開回答等を参照した。

結論として，家族との時間を確保できるかどうかは，「企業法務」，「一般民事」，「家事」又は「刑事」といった専門分野の名称だけでは決まらない。
同じ分野でも，期限の突発性，夜間・休日対応の必要性，依頼者の応答期待，本人拘束，代替体制，受任量，収入構造及び長期的な適合性によって，時間の予測可能性は大きく異なるからである。

家族時間の確保と，依頼者に質の高い法的サービスを提供することは，二者択一ではない。
もっとも，受任後に家族の予定を理由として期限管理又は必要な連絡を緩めることはできないため，受任前の選別，受任時の期待調整及び受任後の代替体制を一体として設計する必要がある。

第２　専門分野の名称だけでは決まらない理由

栗原宏幸弁護士は，令和８年９月２日付けのnote質問箱において，大手法律事務所が扱う重要案件ではタイムリーな助言が求められるため，私生活の時間を十分に確保することは容易でないとの趣旨を述べている。
他方で，同回答は，時短勤務又は育児休業の制度を利用する若手弁護士が多く，その利用を否定的に見る雰囲気はないという所属事務所での経験にも言及し，専門分野は，面白さ，達成感及び社会貢献を重視して選ぶべきであるとの意見を示している。

この回答は，大手法律事務所における業務と制度運用を考える出発点になる。
ただし，一人の弁護士による経験及び意見であり，弁護士業界全体の統計，すべての大手法律事務所の制度又は法的義務を証明する資料ではない。

東京弁護士会が平成３１年２月に理事者会の承認を受けて公表した「ワークライフバランスガイドライン」は，所属弁護士のライフステージに応じた働き方の尊重，休業及び復帰の支援，制度及び処遇の説明，不利益取扱い等の防止並びにリモートワーク等による業務効率化を掲げている。
同ガイドラインは法令ではなく，東京弁護士会が会員の法律事務所に示した六つの指針であるが，制度の有無だけでなく，説明，運用，復帰後の処遇及び業務体制まで確認すべきことを示している。

１　2025年日弁連追加アンケートが示す関連

日本弁護士連合会の第24回弁護士業務改革シンポジウム第8分科会資料に収録された2025年追加アンケートは，弁護士45,091人を対象とし，1,307人が回答したものであり，回答率は2.9％である（同資料5頁～53頁）。
回答者標本では，家事及び育児の分担，出産育児に伴う休暇の取得期間，労働時間並びに収入の減少について男女差が報告されている。

例えば，配偶者が弁護士である回答者について，「収入が下がった」とした者は女性155人中56人（36.1％）であったのに対し，男性は50人中0人であった。
もっとも，これは回答者標本内の集計であり，無回答の取扱いその他の母数が表だけでは十分に明らかでない箇所もあるため，弁護士全体の割合又は育児が収入を減少させた因果的効果として扱うことはできない。

また，アンケートの設問名は「出産育児に伴う休暇」である。
この語を，法令上の育児休業と当然に同一視してはならない。
実務上は，制度の名称だけでなく，顧客関係の引継ぎ，案件配分，復帰後の担当，評価及び収入への影響を一体として確認する必要がある。

したがって，専門分野を時間の確保しやすさだけで順位付けするのではなく，個々の案件及び事務所について，次の八つの要素を確認するのが適切である。

第３　専門分野より重要な８つの確認事項
１　外部期限の固定度と突発性

最初に確認すべきなのは，仕事量の多寡よりも，自分で時間を動かせる範囲である。
裁判所の期日，法定期限，取引実行日，取締役会日程又は当局対応など，第三者が決める期限が多いほど，家族の予定との衝突が起こりやすい。

①期限は何日前に判明するか。
②期限を動かせる余地があるか。
③突発案件はどの程度の頻度で発生するか。
④突発案件が重なったときに，新規受任又は追加依頼を止められるか。

２　夜間・休日対応の実質的必要性

夜間又は休日の連絡件数だけでなく，応答が翌営業日になった場合に，依頼者の権利又は案件価値が損なわれるかを確認する必要がある。
真に即時対応が必要な案件と，依頼者又は事務所内の慣行によって即時回答が期待されている案件とを区別すべきである。

緊急の定義を決めないまま携帯電話とメールを常時確認する運用は，短い作業時間以上に家族との時間を分断する。
連絡可能時間，緊急窓口及び翌営業日に回す基準まで定めることが重要である。

３　依頼者の応答期待

依頼者が期待する回答時間は，業務分野に当然に付随するものではなく，受任時の説明，担当者の従前の対応及び事務所の方針によっても形成される。
通常相談の回答期限，緊急の定義，夜間・休日の連絡方法及び担当者不在時の連絡先を受任時に明確にすれば，必要な応答と過剰な常時接続を区別しやすい。

確認すべきなのは，平均的な返信速度ではなく，どの事項を，誰が，いつまでに判断しなければならないかである。
依頼者側にも資料提出又は意思決定の期限を説明し，相互の予定を可視化する必要がある。

４　本人拘束の強さ

弁護士本人の出席又は即時判断が不可欠な場面が多いほど，時間の裁量は小さくなる。
期日，接見，現地対応，交渉，会議及び証人尋問について，本人でなければならない場面と，共同担当者，事務職員又はオンライン対応によって分担できる場面とを分けて確認する必要がある。

移動を伴う業務では，執務時間だけでなく，移動時間，待機時間及び予定変更の可能性も見積もるべきである。
オンライン化は移動を減らす手段にはなるが，連絡時間を無制限に広げる運用にすれば，時間の確保にはつながらない。

５　共同処理と代替可能性

複数担当者を形式上置くだけでは，実際の代替体制にはならない。
共同担当者が，経過，次の期限，依頼者の意向及び未処理事項を直ちに把握できるように，記録，予定表，タスクリスト及びエスカレーション基準を共有する必要がある。

代替可能性は，「相談できる人がいるか」ではなく，不在者に追加確認をしなくても必要な初動をとれるかによって点検すべきである。
秘密保持及び利益相反に配慮しつつ，アクセス権限と連絡先を平時に整えておく必要がある。

（続きを読む...）弁護士が家族との時間を確保するための業務設計－専門分野より重要な８つの確認事項（AI作成）